Présentation du projet
Le dépôt FindMyWeb, hébergé sur Codeberg, se décrit comme une implémentation open‑source du service Find My d’Apple. Le README indique uniquement l’objectif de reproduire le comportement du réseau de localisation, sans préciser la version du protocole ni les clés cryptographiques utilisées. Aucun fichier de spécification détaillée n’est fourni, ce qui limite la visibilité sur les algorithmes exacts employés.
Architecture technique supposée
Le service Find My repose sur le protocole Bluetooth Low Energy (BLE) et sur un échange de « rotating identifiers » (identifiants temporaires) signés cryptographiquement. En l’absence de code source explicite dans le dépôt, on ne peut confirmer la présence d’un module de génération d’identifiants basés sur la courbe elliptique Curve25519, comme le décrit la documentation d’Apple. Le projet mentionne toutefois une interface web, suggérant l’utilisation d’un serveur HTTP capable de recevoir les rapports de localisation et de les redistribuer aux appareils associés. Aucun détail sur le backend (Node.js, Go, etc.) n’est indiqué, ce qui empêche d’évaluer la robustesse du traitement des requêtes.
Le dépôt ne contient pas de scripts d’installation ni de dépendances listées dans un fichier requirements.txt ou package.json. Cette omission rend difficile l’estimation de la surface d’attaque liée aux bibliothèques tierces. De plus, aucune mention de certificats TLS ou de mécanismes d’authentification mutuelle n’est faite, alors que le protocole officiel utilise le chiffrement end‑to‑end pour protéger la confidentialité des positions.
Analyse des enjeux de sécurité
Sans accès aux paramètres cryptographiques, il est impossible de vérifier si FindMyWeb reproduit correctement la signature HMAC‑SHA‑256 qui garantit l’intégrité des messages. Si le projet utilise des clés générées de façon aléatoire mais non synchronisées avec les appareils Apple, le système pourrait être vulnérable à des attaques de replay ou de spoofing. Le manque de documentation sur la gestion des jetons d’accès (access tokens) empêche d’évaluer le risque d’escalade de privilèges.
Par ailleurs, la mise à disposition d’un serveur public capable de collecter les coordonnées GPS expose potentiellement les utilisateurs à une collecte non autorisée de données de localisation. En l’absence de politique de confidentialité ou de journalisation des accès, la conformité aux réglementations telles que le RGPD ne peut être attestée.
En résumé, le projet FindMyWeb offre une base intéressante pour explorer le protocole Find My, mais la carence de spécifications techniques, de code d’initialisation et de mesures de sécurité documentées constitue un obstacle majeur à toute évaluation fiable. Toute utilisation en production devrait être précédée d’un audit complet du code et d’une implémentation stricte des mécanismes de chiffrement et d’authentification décrits par Apple.
